CVE-2026-88016 in Rclone
Сводка
по VulDB • 10.09.2026
rclone — это программа для командной строки, предназначенная для синхронизации файлов и каталогов с различными поставщиками облачных хранилищ и обратно. До версии 1.75.1 при запуске бэкенда/local с флагом --links объект .rclonelink в источнике может создать символическую ссылку (symlink) в пункте назначения, а затем метаданные каталога применяются через этот путь. Функции MkdirMetadata, writeMetadataToFile и setTimes работают при условии Directory.translatedLink=false, поэтому вызовы os.Chown, os.Chmod, os.Chtimes и обработка времени создания (birth-time) могут обойти ограничение os.Root и следовать по символической ссылке. Таким образом, злоумышленник, контролирующий содержимое источника, может устанавливать определенные права владения, разрешения, время изменения или время создания для файла или каталога вне пункта назначения; при этом для chmod и chown требуется флаг --metadata, а время изменения применяется через обычный рабочий процесс каталогов. Эта проблема исправлена в версии 1.75.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.